Docker Desktop Sicherheitslücke CVE-2026-8936: VM-Panic durch grpcfuse

Zusammenfassung

In Docker Desktop wurde eine kritische Schwachstelle mit der Kennung CVE-2026-8936 entdeckt. Diese ermöglicht es Angreifern, durch Manipulation von grpcfuse einen Kernel-Panic in der zugrunde liegenden virtuellen Maschine auszulösen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bereits eine offizielle Warnung herausgegeben.

Was ist passiert?

Entwickler und Sicherheitsforscher meldeten ein Problem, bei dem Docker Desktop VM-Abstürze erlitt, wenn bestimmte Dateioperationen über das grpcfuse-Protokoll durchgeführt wurden. Die Schwachstelle betrifft die Kommunikation zwischen dem Host-System und der Docker-VM. Bei Ausnutzung führt dies zu einem sofortigen Stopp aller laufenden Container.

Warum es wichtig ist

Docker Desktop ist ein zentrales Werkzeug für Softwareentwickler weltweit. Ein Denial-of-Service (DoS) durch einen VM-Absturz kann Entwicklungsumgebungen und CI/CD-Pipelines erheblich stören. Zudem besteht die theoretische Gefahr, dass über den Absturz hinausgehende Exploits entwickelt werden könnten.

Beweise

Die Sicherheitswarnung des BSI sowie zahlreiche Berichte in Fachforen wie Reddit bestätigen die Instabilität. Ein Bug-Report auf GitHub dokumentiert das Verhalten unter spezifischen Lastbedingungen mit grpcfuse.

Analyse

Der Fehler liegt in der Handhabung von Speicherzuweisungen innerhalb des grpcfuse-Treibers der Docker-VM. Ungültige Anfragen führen zu einer Speicherzugriffsverletzung, die der Kernel nicht abfangen kann, was im “Panic”-Zustand resultiert.

Praktische Erkenntnisse

Betroffene Nutzer sollten umgehend auf die neueste Version von Docker Desktop aktualisieren, sobald diese verfügbar ist. Als temporärer Workaround kann der Wechsel des Filesystem-Shares (z.B. auf VirtioFS) in den Einstellungen in Betracht gezogen werden, falls dies vom System unterstützt wird.

Offene Fragen

Es bleibt abzuwarten, ob die Schwachstelle auch zur Eskalation von Privilegien genutzt werden kann. Zudem ist die genaue Liste der betroffenen Docker Desktop Versionen noch in der finalen Klärung durch die BSI-Experten.